은행·대학이 아닌 연결망이 표적이 됐다
2026년 10월 국내 금융권과 대학에서 잇따라 드러난 개인정보 유출은 한 가지 불편한 사실을 확인시켰다. 개인정보는 거래한 은행이나 다니는 학교의 핵심 전산망 안에만 머물지 않는다.
등록금 납부, 대출 조회, 업무 지원처럼 일상에 가까운 서비스가 외부 업체 시스템과 연결되는 순간 개인정보는 더 긴 이동 경로를 갖는다. 이번 사건의 핵심은 해커가 정문이 아니라 쪽문을 골랐다는 데 있다. KBS가 2026년 10월 29일 보도한 내용에 따르면 국립부경대학교는 10월 20일 해킹 사실을 인지했다.
해커는 10월 17일부터 이틀 동안 등록금 수납 관리에 쓰는 캠퍼스e모아시스템에 무단 접근했고, 학생 5천 명 이상의 이름과 학번, 가상계좌 정보가 밖으로 나갔다. 이 시스템은 부경대와 연계한 수협은행이 관리하는 구조였지만, 실제 운영은 은행이 맡긴 데이터 전문기업이 담당했다. 대학, 은행, 데이터 기업으로 이어지는 연결 구조가 편리함을 만들었지만 동시에 공격 통로를 넓힌 셈이다.
같은 보도에서 금융권 피해도 함께 확인됐다. 신한은행 대출 조회 서비스에서는 고객 2만 5천여 명의 정보가 유출됐고, 부산은행 등에서는 업무 지원 시스템 공격으로 직원 정보가 빠져나갔다.
이번 사고들의 공통점은 핵심 전산망이 아니라 외부 위탁 업체의 연결망 취약점을 통해 침입이 이뤄졌다는 점이다. 5천 명과 2만 5천여 명이라는 숫자는 단순 피해 규모가 아니라, 일상 서비스 하나가 여러 기관의 시스템을 거치며 개인정보 노출 면적을 키운다는 경고다.
이 문제는 기술 부서만의 사고가 아니다. 학생은 등록금을 납부하기 위해 가상계좌를 확인하고, 직장인은 은행 대출 조회 서비스를 이용하며, 금융사 직원은 업무 지원 시스템에 접속한다.
이용자는 자신이 마주하는 화면의 로고를 보고 은행이나 학교를 신뢰하지만, 실제 데이터 흐름은 보이지 않는 위탁 계약과 시스템 연동 뒤편에서 움직인다. 일상은 편해졌지만 책임의 경계는 흐려졌다. 그 틈을 공격자가 파고들었다.
이번 사건이 사회적으로 무거운 이유는 개인정보의 성격에도 있다. 이름과 학번, 가상계좌 정보는 주민등록번호나 비밀번호보다 덜 위험해 보일 수 있다.
그러나 정보가 결합되면 사칭 연락, 등록금 납부 안내를 가장한 피싱(phishing), 특정 학생을 겨냥한 스미싱(smishing)으로 이어질 여지가 생긴다.
광고
고객의 대출 조회 정보 역시 금융 생활의 민감한 단서를 담는다. 유출 항목 하나만 보고 위험을 낮게 평가하는 방식은 이미 현실의 공격 방식을 따라가지 못한다.
외주 보안이 개인정보 보호의 약한 고리다
국립부경대는 현재까지 개인정보 유출로 인한 신고가 접수되지 않았다고 밝혔다. 이 사실은 당장의 2차 피해를 단정할 수 없다는 의미이지, 위험이 사라졌다는 뜻은 아니다.
개인정보 유출 사고는 시간이 지난 뒤 다른 데이터와 합쳐져 악용되는 경우가 많다. 특히 가상계좌나 대출 조회와 관련한 정보는 이용자에게 실제 거래처럼 보이는 메시지를 만들기 쉽다.
피해 신고가 없다는 사실은 안도의 근거가 아니라 추적과 통지, 모니터링 체계를 점검할 신호로 읽어야 한다. 보안 업계에서 말하는 공급망 보안(supply chain security)은 이 지점에서 현실 문제가 된다. 기업과 대학은 핵심망 방어에 예산과 인력을 집중해 왔지만, 외부 업체가 운영하는 시스템은 상대적으로 느슨하게 관리될 수 있다.
외주화(outsourcing)는 비용과 전문성을 나누는 방식이지만, 보안 책임까지 나눠 사라지게 만들면 위험은 누적된다. 시스템 하나를 위탁할 때마다 데이터 접근 권한, 로그(log) 보관, 취약점 점검, 사고 통보 절차가 함께 이동한다. 계약서에 서비스 범위만 적고 보안 검증 권한을 약하게 두면 원청은 사고 뒤에야 구조를 확인하게 된다.
염흥열 순천향대 정보보호학과 교수는 KBS 보도에서 "위탁 업체로 넘어가는 모든 정보들이 수탁 업체에도 똑같은 취약점들이 존재할 경우 재유출될 가능성이 있다"고 지적했다. 이 발언은 이번 사건의 본질을 잘 짚는다. 보안 수준은 가장 강한 기관이 아니라 가장 약한 연결점에서 결정된다.
은행이 강한 방화벽을 두고 대학이 개인정보 관리 규정을 갖춰도, 실제 운영 업체의 패치(patch)와 접근통제가 느슨하면 공격자는 더 쉬운 길을 찾는다. 시민 입장에서는 어느 기관이 직접 운영했는지보다 누가 최종 책임을 지는지가 더 중요하다. 반론도 있다.
광고
모든 외부 업체를 직접 통제하기 어렵고, 대학이나 금융사가 자체 개발과 운영을 모두 떠안으면 비용이 커진다는 주장이다. 이 주장은 현실의 제약을 짚지만 핵심을 비켜 간다. 외주 자체가 문제가 아니라, 외주 시스템을 핵심 서비스의 일부로 인정하지 않는 관리 방식이 문제다.
등록금 수납과 대출 조회는 부가 기능처럼 보이지만 이용자의 개인정보가 오가는 순간 핵심 업무와 같은 수준의 보안 기준을 적용해야 한다. 비용을 이유로 연결망 감사를 줄이면 사고 비용은 이용자 불안과 기관 신뢰 하락으로 되돌아온다.
이제 정책은 원청 책임을 물어야 한다
정책 방향도 바뀌어야 한다. 현재의 보안 점검은 기관 내부망과 대표 서비스 중심으로 설계되는 경우가 많다.
본지 취재 및 보안 전문가 견해에 따르면, 앞으로는 위탁 계약 단계에서 개인정보 흐름도, 접근 권한 목록, 재위탁 여부, 사고 통보 시간, 로그 제출 의무를 구체적으로 묶어야 한다. 제로트러스트(Zero Trust) 방식도 운영 구호가 아니라 실질적인 점검 기준으로 제도화해야 한다. 내부와 외부를 단순히 나누는 대신 모든 접속을 검증하고, 필요한 권한만 부여하며, 이상 행위를 빠르게 차단하는 체계가 필요하다.
일반 이용자가 당장 할 수 있는 일은 제한적이지만 없는 것은 아니다. 학교나 금융기관이 유출 통지를 보내면 유출 항목을 확인하고, 비슷한 이름의 납부 안내나 대출 안내 문자를 곧바로 믿지 않는 습관이 필요하다. 링크를 누르기보다 공식 앱(application)이나 대표 전화로 다시 확인하는 편이 안전하다.
여러 서비스에 같은 비밀번호를 쓰고 있다면 이번 기회에 변경하는 것이 바람직하다. 다만 개인의 주의만으로 구조적 사고를 막을 수 없다는 점도 분명하다. 이번 쪽문 해킹은 보안의 책임선을 다시 그으라는 압박이다.
대학과 은행은 이용자와 직접 계약하거나 서비스를 제공한 주체로서 외부 업체의 보안 실패를 남의 일처럼 다룰 수 없다. 감독 당국도 사고가 난 뒤 과태료를 매기는 방식에 머물지 말고, 연결망을 포함한 사전 검증 기준을 강화해야 한다. 편리한 디지털 서비스는 앞으로 더 많은 외부 시스템과 결합할 것이다.
그렇다면 우리가 물어야 할 질문은 하나다. 내 개인정보가 지나가는 모든 쪽문까지 누가 지키고 있는가.
광고
※ 이 기사는 KBS의 2026년 10월 29일 보도를 참조하여 작성하였습니다.
FAQ
Q. 이번 사고에서 유출된 정보만으로 바로 금전 피해가 발생할 수 있나?
A. KBS 2026년 10월 29일 보도와 국립부경대 발표 기준으로 현재까지 개인정보 유출로 인한 피해 신고는 접수되지 않았다. 그러나 이름, 학번, 가상계좌 정보는 단독으로는 위험이 낮더라도 다른 유출 데이터와 결합될 경우 사칭 메시지나 등록금 납부 안내를 가장한 피싱에 활용될 수 있다. 실제로 개인정보 유출 사고는 수개월 뒤 다른 데이터와 합산되어 악용되는 사례가 많아, 당장 피해 신고가 없다는 사실이 위험 소멸을 의미하지는 않는다. 유사한 문구의 납부 안내나 대출 관련 문자·이메일을 받으면 링크를 클릭하지 말고 반드시 공식 앱이나 기관 대표 번호로 진위를 확인해야 한다.
Q. 쪽문 해킹은 일반적인 해킹과 무엇이 다른가?
A. 쪽문 해킹은 공격자가 기관의 핵심 전산망을 직접 뚫기보다 외부 업체 시스템이나 연결망의 상대적으로 약한 지점을 노리는 방식을 가리킨다. 이번 사례에서는 등록금 수납 시스템, 금융권 대출 조회 서비스, 업무 지원 시스템처럼 외부 운영이나 연동이 얽힌 경로가 침입구가 됐다. 이용자 화면에서는 같은 기관 서비스처럼 보이지만 실제 운영 주체가 나뉘면 보안 관리 수준도 달라질 수 있다. 보안 업계에서는 이를 공급망 보안(supply chain security) 취약점으로 분류하며, 공격자는 가장 강한 기관이 아니라 가장 약한 연결점을 집중적으로 공략한다.
Q. 대학과 금융기관은 무엇을 먼저 바꿔야 하나?
A. 위탁 업체 선정 단계에서 보안 점검을 형식적 절차가 아니라 계약 조건으로 명문화해야 한다. 개인정보 접근 권한, 로그 보관 기간, 취약점 패치 주기, 사고 발생 시 통보 시간을 계약서에 구체적으로 명시하고, 원청이 정기 점검 결과를 직접 확인할 수 있는 권한을 확보해야 한다. 외부 시스템이라도 이용자 개인정보가 흐른다면 핵심 전산망에 준하는 보안 기준을 적용하는 방향으로 내부 정책과 감독 당국의 가이드라인을 함께 개정할 필요가 있다.
▶ 법률 고민이 있다면 → 김연순법률노트 무료상담 바로가기
){kind=small}
){kind=small}
){kind=small}
){kind=small}
